Η ΕΚΤ δίνει στις τράπεζες προθεσμία να αμυνθούν από AI-χάκερ

Οι μεγάλες τράπεζες της ευρωζώνης έχουν πλέον μια ημερομηνία στο ημερολόγιό τους: έως τις 31 Οκτωβρίου 2026 πρέπει να καταθέσουν στην Ευρωπαϊκή Κεντρική Τράπεζα σχέδιο για το πώς θα αμυνθούν απέναντι σε κυβερνοεπιθέσεις που ενισχύει η τεχνητή νοημοσύνη (Euronews). Είναι το επόμενο κεφάλαιο σε μια ιστορία που παρακολουθούμε, το πώς η AI επιταχύνει τις επιθέσεις σε κρίσιμες υποδομές (To Brief). Και σας αφορά άμεσα: μιλάμε για τα ιδρύματα όπου βρίσκονται οι καταθέσεις, οι πληρωμές και οι μισθοί μας.

Ο λόγος που ο επόπτης βιάζεται δεν είναι κάποιος νέος ιός. Είναι ότι ο χρόνος άλλαξε πλευρά. Για να το καταλάβουμε, χρειάζεται μία μόνο έννοια: το patch window, το «παράθυρο επιδιόρθωσης». Είναι το διάστημα ανάμεσα στο «βρέθηκε μια τρύπα ασφαλείας» και στο «έκλεισε πραγματικά παντού μέσα στην τράπεζα». Σκεφτείτε το σαν να μάθατε ότι το κλειδί του σπιτιού σας αντιγράφεται εύκολα. Παλιά είχατε μια εβδομάδα να αλλάξετε κλειδαριά. Τώρα ίσως έχετε ένα απόγευμα.

Αυτό που παλιά απαιτούσε μια ομάδα ειδικών για μέρες, τώρα ένα μοντέλο AI μπορεί να το κάνει σε ώρες, αυτοματοποιώντας την αναζήτηση της αδυναμίας και τη δημιουργία του εργαλείου διάρρηξης. Η πρόεδρος του Εποπτικού Συμβουλίου της ΕΚΤ, Claudia Buch, το διατύπωσε καθαρά: αυξάνονται η ταχύτητα, η κλίμακα και η προσβασιμότητα των επιθετικών εργαλείων, ενώ «ο χρόνος αντίδρασης των αμυνόμενων μικραίνει» (ECB Banking Supervision).

Η καθαρότερη εικόνα είναι αυτή: όταν ο επιτιθέμενος κινείται με χρονόμετρο, η τράπεζα δεν μπορεί να αμύνεται με ημερολόγιο. Μέχρι χθες, η άμυνα δούλευε με ρυθμό συντήρησης, με προγραμματισμένες ενημερώσεις, ελέγχους και εγκρίσεις. Τώρα ο ίδιος ρυθμός μοιάζει επικίνδυνα αργός.

Εδώ χρειάζεται όμως ψυχραιμία. Το μοντέλο που λειτούργησε ως καμπανάκι, το Claude Mythos της Anthropic, έδειξε ότι η αντιγραφή του «κλειδιού» γίνεται υπόθεση λεπτών: επιτάχυνε την εκμετάλλευση ήδη γνωστών ευπαθειών, των λεγόμενων N-day exploits, από μέρες σε λεπτά ή ώρες. Παραμένει όμως εταιρική και εργαστηριακή τεκμηρίωση, όχι απόδειξη ότι τέτοιες αυτοματοποιημένες επιθέσεις σαρώνουν ήδη τα τραπεζικά δίκτυα (Anthropic). Η ΕΚΤ και το ESRB δεν λένε ότι κατέρρευσε το σύστημα. Λένε ότι εξαφανίστηκε ο χρόνος-μαξιλάρι που κρατούσε ανεπίσημα την άμυνα όρθια.

Το πιο βαρύ θεσμικό σήμα ήρθε από το Ευρωπαϊκό Συμβούλιο Συστημικού Κινδύνου (ESRB), τον «πυροσβέστη» της χρηματοπιστωτικής σταθερότητας. Αναβάθμισε τον κυβερνοκίνδυνο σε «σοβαρό», γράφοντας ρητά ότι τα πιο προηγμένα μοντέλα AI συνιστούν «διαρθρωτική αύξηση του συστημικού κυβερνοκινδύνου για το χρηματοπιστωτικό σύστημα της ΕΕ» (ESRB Outcomes). Το «συστημικό» εδώ έχει συγκεκριμένο νόημα. Δεν είναι ένα χακαρισμένο laptop σε μία τράπεζα, αλλά ένα σοκ που χτυπά πολλές μαζί μέσω κοινών εξαρτήσεων, όπως το cloud, το λογισμικό, οι πληρωμές. Είναι η πολυκατοικία όπου κάθε διαμέρισμα έχει δική του πόρτα, αλλά όλα κρέμονται από τον ίδιο ηλεκτρικό πίνακα.

Τυπικά, τίποτα από αυτά δεν είναι νέος νόμος. Ο ευρωπαϊκός κανονισμός DORA ήδη υποχρέωνε τις τράπεζες σε διαχείριση κινδύνου, αναφορά περιστατικών και έλεγχο τρίτων παρόχων (EUR-Lex). Η AI δεν αλλάζει το είδος της υποχρέωσης, αλλάζει την ταχύτητα με την οποία πρέπει να αποδειχθεί ότι δουλεύει. Το DORA ζητούσε φρένα, ζώνες και αερόσακους. Η AI έκανε τον δρόμο πιο γρήγορο.

Μένει ένα ανοιχτό ερώτημα χωρίς απάντηση ακόμη. Τα ισχυρότερα μοντέλα ελέγχονται από λίγους, κυρίως αμερικανικούς παρόχους, και η πρόσβαση για αμυντικές δοκιμές μπορεί να είναι άνιση ή ανακλητή (To Brief), χωρίς όμως δημόσια απόδειξη ότι κάποια συγκεκριμένη ευρωπαϊκή τράπεζα έχει ήδη αποκλειστεί.

Το πιο ενδεικτικό είναι ότι η ΕΚΤ ζητά όχι μόνο ταχύτερο patching και παρακολούθηση, αλλά αυστηρότερο έλεγχο των τρίτων παρόχων και της εφοδιαστικής αλυσίδας (The Epoch Times). Γιατί ο αργός προμηθευτής cloud ή λογισμικού γίνεται, στην πράξη, το patch window της ίδιας της τράπεζας. Για να χωρέσει αυτή τη δουλειά, η ΕΚΤ μετέθεσε άλλες εποπτικές προθεσμίες για το 2027, μια σιωπηλή παραδοχή ότι η κούρσα με το χρονόμετρο έχει ήδη ξεκινήσει.